Le cabinet consacre une série de trois articles consacrés aux exigences en matière de vérification de l’âge et à leurs implications juridiques et pratiques, en se concentrant successivement sur :
- Les sites à caractère pornographique, confrontés à des obligations renforcées et des sanctions croissantes en cas de non-conformité ;
- Les réseaux sociaux, qui doivent adapter leurs mécanismes d’inscription pour se conformer aux exigences nationales et européennes ;
- Le secteur du e-commerce, où la vente de produits ou services réservés à un public majeur (alcool, jeux d’argent, etc.) implique des dispositifs de contrôle adaptés.
À travers cette série, nous analyserons les textes applicables, les pratiques du marché, ainsi que les points de vigilance pour les acteurs concernés.
Le premier article de cette série porte sur les obligations spécifiques pesant sur les sites à caractère pornographique, qui sont aujourd’hui au cœur de débats judiciaires.
En France et ailleurs, ces sites se voient imposer des mécanismes stricts de vérification de l’âge sous peine de blocage d’accès ou de sanctions financières, illustrant une volonté politique forte de protéger les mineurs. Mais comment concilier cette exigence avec le respect de la vie privée, notamment en évitant la collecte et la génération de données sensibles ? Qui est juridiquement responsable en cas de manquement : l’éditeur du site, l’hébergeur, ou les fournisseurs d’accès à internet ? Et quelles solutions techniques peuvent être mises en œuvre, sans créer une surveillance généralisée ou un accès discriminatoire à l’information ?
Décryptage juridique
- Tour du monde (non exhaustif) des lois imposant un contrôle de l’âge en ligne sur les sites pornographiques
L'article 28 du règlement (UE) 2022/2065 (“DSA”) impose aux intermédiaires techniques de mettre en place des mesures pour protéger les mineurs. Le champ d’application du DSA est défini de telle sorte que cette obligation ne concerne donc que les fournisseurs de sites pornographiques qui permettent à leurs utilisateurs d’uploader des contenus (photos et vidéos) sur la plateforme, et non pas à ceux qui exercent un contrôle éditorial sur les contenus publiés sur leurs sites.
Dans ses lignes directrices du 14 juillet 2025, la Commission européenne prévoit que les hébergeurs fournissant accès à des contenus interdits aux mineurs (ex : pornographie) doivent contrôler l’âge de leurs utilisateurs par des moyens plus robustes qu’une simple déclaration d’âge. Renvoyant à la position de l’EDPB sur le sujet, les solutions basées sur le Zero Knowledge (preuve à divulgation nulle de connaissance) recommandées par la CNIL doivent être mises en place pour limiter le risque pour la vie privée des utilisateurs.
Avant même d’avoir officiellement établi sa doctrine dans ces lignes directrices, la Commission européenne a annoncé avoir ouvert le 27 mai 2025, une procédure contre les fournisseurs des sites Pornhub (Aylo), Stripchat, XNXX, et XVideos, à raison - entre autres - de l’absence de contrôle de l’âge.
L’Union européenne s’est donc dotée des moyens juridiques d’imposer la vérification d’âge à une partie seulement des fournisseurs de sites pornographiques.
En Grande-Bretagne, l’Online Safety Act reprend la même distinction que le DSA européen en distinguant les fournisseurs de sites pornographiques qui exercent un contrôle éditorial sur leurs contenus (“Part 5 services”), et ceux qui permettent à leurs utilisateurs d’uploader des contenus et de les partager à d’autres utilisateurs (“Part 3 services”).
Tous ces services sont tenus d’implémenter des méthodes de vérification de l’âge robustes au plus tard le mois de juillet 2025.
L’OFCOM, l'autorité britannique chargée de l’application du texte, a publié une liste de méthodes pouvant être utilisées par les fournisseurs, parmi lesquelles des vérifications de carte de crédit, ou de l’estimation d’âge.
Avant même l’entrée en vigueur de l’Online Safety Act, l’OFCOM a démontré un certain activisme contre des grands noms du secteur (ex : OnlyFans et MintStars) en s’appuyant sur les dispositions d’un texte antérieur de 2003 (Communications Act 2003) pour ouvrir des enquêtes à leur encontre.
Le cadre juridique britannique est donc plus complet que le cadre européen, en ce qu’il semble couvrir l’intégralité des services pouvant donner accès à des contenus pornographiques, quel que soit leur mode de mise à disposition.
En l’absence de lois fédérales sur le sujet, plusieurs États, dont le Texas en 2023 (HB n°1181), ont mis en place des lois imposant aux fournisseurs de sites pornographiques de vérifier l’âge de tous leurs utilisateurs, pour en exclure les mineurs.
Cette loi a été contestée en justice par un collectif représentant l’industrie pornographique (“Free Speech Coalition Inc”), jusqu’à la Cour Suprême des États-Unis, qui a récemment statué le 27 juin 2025. Pour la juridiction suprême, la loi ne porte qu’une atteinte secondaire à la liberté d’expression puisqu’elle n’interdit pas l’accès à la pornographie, et contribue par ailleurs à un intérêt public important, à savoir celui de la protection des mineurs. Cette confirmation ouvre la voie à des lois similaires dans d’autres États américains.
Le 30 juillet 2020, le Parlement français a adopté une loi visant à lutter contre les violences conjugales. Considérant l’exposition précoce à des contenus pornographiques potentiellement violents comme un facteur de risque, l’article 22 de cette loi a modifié l’article 227-24 du Code pénal (qui réprime la diffusion de contenus pornographiques à des mineurs) en précisant que la seule déclaration de majorité n’est plus suffisante pour considérer que l’internaute est majeur.
Cette modification a rendu de facto obligatoire le contrôle de l’âge des utilisateurs, le décret n° 2021-1306 du 7 octobre 2021 précisant que les fournisseurs doivent mettre en place un procédé technique fiable pour vérifier la majorité de l’utilisateur. Dans cette optique, l’ARCOM (ex-CSA) s’est vu attribuer le pouvoir, après une mise en demeure, de demander aux FAI (fournisseurs d’accès internet) de suspendre l’accès aux URLs concernés ainsi que déréférencer le site dans les moteurs de recherche (article 23 de la loi du 30 juillet 2020).
Début 2021, l’ARCOM a adressé des mises en demeure à des fournisseurs basés à Chypre et en République Tchèque de mettre en place les mesures techniques pour garantir le contrôle de l’âge de leurs utilisateurs, puis saisi le Tribunal judiciaire de Paris en vue d’obtenir le blocage des sites. Les deux fournisseurs ont contesté la procédure, soutenant notamment que le décret n°2021-1306 du 7 octobre 2021 est imprécis car il ne précise pas les mesures techniques qui doivent être mises en œuvre.
Le Tribunal judiciaire de Paris a sursis à statuer le 7 juillet 2023 dans l’attente que le Conseil d’Etat se prononce sur la légalité du décret du 7 octobre 2021, par ailleurs contestée par les fournisseurs. Or, ce dernier a également sursis à statuer le 6 mars 2024, renvoyant l’affaire à la CJUE, considérant que ce décret pose des problématiques de conformité avec le droit européen.
A la date de la rédaction de cet article, la CJUE n’ayant toujours pas rendu un arrêt, la procédure devant le Tribunal judiciaire de Paris étant suspendue depuis l’introduction de l’instance par l’ARCOM le 3 mars 2022.
Le gouvernement a par conséquent revu le cadre juridique. La loi n°2024-449 du 21 mai 2024 (dite “Loi SREN”) a modifié le pouvoir de blocage administratif des fournisseurs de sites pornographiques de l’ARCOM et lui a conféré un large pouvoir de sanction. Tenant compte des arguments relatifs à l’absence de solution technique appropriée, l’ARCOM a été chargé par la loi de développer un référentiel technique, soumis à avis de la CNIL, qui a été finalement publié le 9 octobre 2024.
S’agissant de la conformité au droit européen, la loi prévoit que le contrôle de l’âge s’applique aux fournisseurs de site basés en France ou en dehors de l’UE, et à l’intérieur de l’UE si la France suit la procédure de notification prévue à l’article 2 de la directive 2000/31/CE sur le commerce électronique qui prévoit, sauf exceptions, qu’un Etat de l’UE ne peut pas restreindre la libre circulation des services de la société de l'information (par exemple en imposant une mesure de contrôle de l’âge).
La France a suivi cette procédure et un arrêté du 26 février 2025 a dressé une liste de fournisseurs de sites pornographiques établis dans l’Union Européenne soumis à la loi SREN, dont Aylo, établi à Chypre. Cet arrêté est entré en vigueur le 7 juin 2025 et a été contesté par Aylo devant le Conseil d’Etat qui l’a débouté de sa demande de suspension de l’arrêté en référé.
C’est dans ce contexte qu’Aylo (fournisseur de plusieurs sites pornographiques, dont Pornhub) a annoncé avoir suspendu l’accès à ses sites depuis la France le 4 juin, décidant de ne pas se conformer à loi, à l’inverse d’autres fournisseurs (5 selon l’ARCOM), dont PB WEB MEDIA, basé aux Pays-Bas.
Un autre éditeur, Hammy Media Ltd (Xhamster), a habilement saisi le Tribunal administratif de Paris en référé de la même demande en argumentant que ce dernier était compétent car l’arrêté du 26 février 2025 n’aurait pas de “portée générale”, contournant ainsi la règle de l’article R.311-1 du Code de justice administrative qui prévoit que les recours dirigés contre les actes réglementaires ministériels de portée générale sont tranchés par le Conseil d’État en premier et dernier ressort.
Le 16 juin 2025, le Tribunal administratif a tranché à l’inverse du Conseil d’Etat, considérant que la conformité du dispositif réglementaire français au droit de l’Union européenne justifiait la suspension de l’arrêté.
Cet ordonnancement juridique baroque (un tribunal de première instance venant contredire la position prise par son autorité suprême dix jours plus tôt) fût si surprenant qu’Aylo rendait ses sites à nouveau disponibles en France, se fendant d’un communiqué victorieux, tandis que la ministre Clara Chappaz annonçait son intention de contester cette décision le plus rapidement possible devant le Conseil d’État.
Chose faite le 15 juillet 2025, le Conseil d’État confirmant sa décision précédente, considérant que le Tribunal administratif avait commis plusieurs erreurs de droit. Aylo bloquait alors à nouveau ses sites, regrettant dans un nouveau communiqué les “décisions et les revirements en cours” qui démontreraient “l’absence de direction” et un dysfonctionnement législatif.
S’il faut tirer un point positif de ces décisions et de ces revirements judiciaires et administratives, c’est qu’elles ont mis en exergue les points de tension de la législation : les impacts pour la vie privée des utilisateurs, la possibilité pour un État membre de l’Union européenne d’imposer des contraintes techniques à des fournisseurs établis dans un autre État membre ainsi que l’efficacité de la législation.
- Décryptage des arguments soulevés par les fournisseurs de sites pornographiques contre la réglementation française
- Le contrôle de l’âge “ne protège pas les mineurs — mais au contraire, met en danger la vie privée de tout le monde et expose les enfants à des risques” ?
🟢 Une mesure risquée du point de vue du droit de la protection des données personnelles mais dont les contours ont été précisés par la CNIL et l’ARCOM
De l’avis même des régulateurs, le contrôle de l’âge des utilisateurs est un processus risqué si l’on veut qu’elle fournisse un haut niveau de sécurité et de garantie de la vie privée. La visite d’un site pornographique n’est pas un acte anodin et une faille de sécurité qui révèlerait la liste des visiteurs d’un site pourrait avoir des conséquences sur la vie privée de leurs utilisateurs. L’affaire de la fuite de données du site de rencontres extraconjugales américain Ashley Madison, révélant l’identité de plusieurs dizaines de millions d’utilisateurs en 2015 a illustré ces graves risques.
- En juillet 2022, la CNIL indiquait qu’elle n’avait pas identifié de solutions permettant de garantir la vie privée des utilisateurs et préconisait l’utilisation de techniques dites de Zero Knowledge Proof qui permettent de garantir “le double anonymat”. En d’autres termes, le site pornographique ne doit pas savoir qui accède à son site, tandis que le tiers vérificateur ne doit pas connaître le service qui fait l’objet d’une demande d’accès.
- Le référentiel technique de l’ARCOM, co-conçu avec la CNIL, reprend ces préconisations en imposant aux fournisseurs de sites pornographiques qu’ils proposent à leurs utilisateurs a minima un outil de contrôle de l’âge en double anonymat.
A l’inverse de son homologue allemande qui a publié une liste de solutions de contrôle de l’âge, l’ARCOM n’a pas publié de liste de prestataires conformes à l’exigence du “double anonymat”, n’étant pas tenue par la loi de le faire. Le référentiel prévoit que l’éditeur du site pornographique doit auditer la conformité de la solution technique qu’il retient (vraisemblablement proposée par un tiers, ces outils nécessitant des développements conséquents). Certains prestataires se sont d’ores et déjà positionnés sur ce créneau.
Il est donc vraisemblable que l’introduction de l’obligation de contrôle de l’âge en 2020 était trop précoce, les solutions de contrôle de l’âge n’étant pas matures. Toutefois, les travaux engagés par les régulateurs depuis 2022 pour aboutir à un cahier des charges clair et réalisable semblent avoir abouti à une solution protectrice de la vie privée des utilisateurs.
- Pourquoi la “vérification de l’âge des utilisateurs réalisée directement sur l'appareil” n’a-t-elle pas été abordée par les régulateurs ?
🟠 La mesure semble réalisable d’un point de vue technique, mais a été proposée après le vote de la réglementation
La société Aylo a rendu publiques certaines de ses contributions à la Commission européenne ainsi qu’au Comité permanent de la sécurité publique et nationale canadien plaidant en faveur d’un contrôle de l’âge fait au niveau de l’appareil, soit par son fabricant, soit par le fournisseur de système d’exploitation. Du point de vue de l’industrie, le directeur général de Snap, la société éditant le réseau social Snapchat, s’est également prononcé en faveur de cette solution technique, soulignant que l’Utah avait adopté une loi en ce sens et que d’autres États américains examinaient des propositions de loi similaires.
Toutefois, à notre connaissance, le législateur français, la CNIL, l’ARCOM ainsi que la Commission européenne ne se sont jamais positionnés sur le sujet.
Il semble que les propositions d’Aylo de 2024 soient arrivées trop tard. En effet, les législations françaises ont été déposées au Parlement en 2019 et en 2023 tandis que le Digital Services Act européen a été présenté en 2020 et adopté en 2022. Au niveau français, comme au niveau européen, la réglementation est claire : le contrôle de l’âge incombe au fournisseur du service concerné.
- “Des milliers de sites pornographiques irresponsables” sont-ils susceptibles de rester faciles d’accès malgré la réglementation ?
🔴 Oui, au vu des moyens contraints des régulateurs et de l’étendue des sites à contrôler
Reste enfin le sujet critique de l’application de la loi. En France, l’administration chargée de l’application de la loi est l’ARCOM, tandis que la Commission européenne est compétente s’agissant du Digital Services Act. Pour évaluer le potentiel d’efficacité de la réglementation, il est envisageable de comparer le nombre d’agents de l’ARCOM et de la Commission européenne chargés de faire respecter la réglementation à l’aune du nombre de sites pornographiques disponibles en ligne.
- Selon le rapport annuel 2023 de l’ARCOM, 368 agents étaient répartis dans 10 directions, dont la direction des plateformes numériques.
- La Commission européenne a annoncé viser un objectif de 200 agents sur l’application du DSA.
Il n’existe pas de statistique en temps réel du nombre de sites pornographiques en ligne, mais des data scientist se sont essayés à établir une estimation fiable en scannant une partie représentative du web, aboutissant à une estimation de 327.000 sites pornographiques disponibles en ligne.
Constatons qu’il semble extrêmement improbable que les autorités françaises et européennes soient en mesure d’imposer à ne serait-ce qu’une fraction significative des fournisseurs de sites d’imposer un contrôle de l’âge de leurs utilisateurs. Pour pallier cette problématique, il semble que la stratégie des régulateurs a été de viser les sites les plus fréquentés, dont ceux édités par Aylo. Cette stratégie n’écarte pas le risque de redirection du trafic vers d’autres sites pornographiques, sans même évoquer le contournement des restrictions via un VPN.
Le business model de la grande majorité des sites pornographiques gratuits étant basé sur la publicité en ligne, dont les revenus sont directement corrélés au trafic du site, il existe un potentiel de reconfiguration du marché de la pornographie en France et plus largement dans l’Union européenne entre :
- d’une part les fournisseurs respectant la réglementation et
- d’autre part ceux qui deviendraient plus intéressants pour les utilisateurs notamment mineurs du fait de l’absence de contrôle de l’âge.
Cet aspect commercial est d’ailleurs mis en avant par Aylo dans sa saisine du Conseil d’État en annulation de l’arrêté du 26 février 2025, qui argumentait :
“que l’application de l’arrêté contesté risque d’entraîner une baisse drastique voire une disparition des revenus générés par ce marché ”
ainsi que par Hammy Media :
“[son service] service perdrait une part substantielle de sa fréquentation, y compris par les utilisateurs majeurs, en raison du détournement de ces utilisateurs vers d’autres services diffusant des contenus à caractère pornographique accessibles depuis la France mais non assujettis à l’obligation de mettre en place des systèmes de vérification de l’âge, ce qui entraînerait des pertes financières importantes, son chiffre d’affaires dépendant directement du volume du trafic par le biais de la vente d’espaces publicitaires.”.
Il incombe donc aux régulateurs de surveiller l’impact de leur application de la réglementation et de mettre en œuvre les moyens nécessaires pour garantir qu’elle soit appliquée si ce n’est par tous, au moins par la grande majorité, ce afin de garantir l’égalité des fournisseurs de sites pornographiques devant la loi.
3 points à retenir de la vérification de l’âge sur les sites pornographiques
- Les réglementations internationales imposant une vérification d’âge sur les sites pornographiques semblent inéluctables. Aux Etats-Unis, près de la moitié des États ont adopté leur propre réglementation en ce sens, la Grande-Bretagne est pro-active sur le sujet et dispose d’un arsenal législatif approprié, tandis que le cadre réglementaire européen est plus fragmenté, mais poussé par des États comme la France. L’Australie et le Canada considèrent également la même solution. Ces États riches constituant vraisemblablement le cœur du chiffre d’affaires des fournisseurs de sites pornographiques, il est temps de s’y conformer, sans quoi les premières mesures coercitives (sanctions, déréférencement) risquent de se multiplier.
- De plus en plus de solutions de vérification conformes émergent. Ces législations ont ouvert des opportunités de marché à des fournisseurs de solutions de vérification d’âge facilement déployables, et conformes. Le marché, sans être parfaitement mature, offre des possibilités de déploiement de solutions “user-friendly”. La Commission européenne, dans une logique d’accompagnement du secteur, a même publié un prototype d’application de vérification d’âge. Gageons que les fournisseurs de sites pornographiques qui déploieront les solutions offrant le plus de garantie pour la vie privée de leurs utilisateurs, et une utilisation facile, sont ceux qui pourraient sortir gagnant de ce changement réglementaire.
- L’adoption massive de la vérification par d’âge par les acteurs du secteur est essentielle pour éviter un bouleversement économique du marché de la pornographie. Le risque de concentration de l’attention des autorités sur les plus grands acteurs et de contournement de la mesure par des VPN étant réel, une adoption massive et proactive de la vérification d’âge par les fournisseurs de sites pornographiques est nécessaire pour garantir leur égalité devant la loi.